CVE-2026-100571 in OpenClaw
Zusammenfassung
von VulDB • 26.09.2026
OpenClaw (npm package 'openclaw') nelle versioni >= 2026.6.6 e < 2026.8.1 applicano il limite di frequenza per le richieste non valide del webhook SMS prima della verifica della firma Twilio e identificano i client esclusivamente tramite l'indirizzo socket proxy grezzo. In ambienti in cui il webhook SMS/Twilio si trova dietro un reverse proxy o tunnel attendibile, consentendo a più client esterni di condividere un singolo indirizzo socket, un mittente remoto non autenticato può esaurire la quota del limite di frequenza pre-autenticazione condivisa con richieste non valide, causando l'invio di risposte HTTP 429 ai callback Twilio correttamente firmati. Il risultato è una temporanea perdita dei messaggi SMS in ingresso finché la finestra condivisa rimane esausta; l'attaccante non può falsificare un callback né accedere ai dati dei messaggi. Risolto nella versione 2026.8.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.